Денис Колисниченко - Анонимность и безопасность в Интернете. От «чайника» к пользователю
Итак, в маршрутизаторе Edimax для изменения пароля нужно перейти в раздел General Setup | System, выбрать Password Settings и нажать кнопку Next (рис. 8.2). В открывшемся окне (рис. 8.3) ввести старый пароль (в нашем случае – 1234), новый пароль и повторить ввод нового пароля.
Рис. 8.2. Выберите Password Settings
Рис. 8.3. Окно изменения пароля
8.3. Изменение имени сети (SSID). Сокрытие SSID
SSID – это имя сети. По умолчанию значение SSID одинаково для всех беспроводных маршрутизаторов одного производителя. Представьте только, что вы примерно в одно и то же время со своим соседом обзавелись одинаковыми (или почти) маршрутизаторами. Имена ваших сетей будут одинаковыми, что не есть хорошо.
При изменении SSID помните, что новый SSID не должен содержать: адрес, вашу фамилию, номер телефона, номер квартиры и прочую общедоступную информацию. Лучше всего использовать никому не понятную последовательность символов – тогда сам злоумышленник побоится подключаться к такой сети – решит, что она специально создана для перехвата паролей и другой передаваемой через нее информации.
А еще лучше после того, как все будет настроено, вообще скрыть широковещание SSID – тогда в округе вообще никто не будет знать, что у вас есть беспроводная сеть. Конечно, опытного злоумышленника этим не остановишь, но все же это лучше, чем ничего.
Для изменения SSID в панели управления Edimax нужно перейти в раздел General Setup | Wireless | Basic Settings (рис. 8.4). Параметр ESSID (в других панелях управления – просто SSID) – это и есть имя сети. Введите любую строку и нажмите кнопку Apply.
Чтобы скрыть имя сети, нажмите кнопку Advanced Settings и в открывшемся окне (рис. 8.5) выключите параметр Broadcast Essid (установите значение Disabled). В некоторых маршрутизаторах этот параметр называется Hide ESSID (тогда следует установить значение Enabled).
Рис. 8.4. Изменение имени сети
Рис. 8.5. Отключение широковещания имени сети
8.4. Изменение IP-адреса маршрутизатора
IP-адрес маршрутизатора по умолчанию тоже легко вычислить, зная, хотя бы, производителя устройства. Поэтому не помешает изменить и IP-адрес маршрутизатора. Это можно сделать в разделе General Settings | LAN (рис. 8.6).
Внимание!
При назначении нового IP-адреса маршрутизатору будьте осторожны. Параметры Start IP и End IP задают диапазон арендуемых IP-адресов: из этого диапазона IP-адреса будут назначаться клиентам маршрутизатора. Так вот, IP-адрес, заданный параметром IP address, не должен принадлежать к этому диапазону.
Рис. 8.6. Установка IP-адреса маршрутизатора
8.5. Используйте WPA или WPA2
Протоколы WPA (Wi-Fi Protected Access), WPA2 и WEP (Wired Equivalent Privacy) обеспечивают защиту и шифрование данных, передаваемых беспроводным маршрутизатором и беспроводным клиентом. Предпочтительнее использовать WPA2, но если этот протокол устройством не поддерживается, следует использовать WPA. Шифрование WEP заметно хуже, чем WPA, но это лучше, чем вообще ничего. Хотя взломать защиту WEP можно с помощью ряда стандартных инструментов, что означает, что взлом WEP – весьма обычная процедура.
Примечание
По адресу http://www.thg.ru/network/20050806/index.html вы найдете пошаговую инструкцию взлома протокола WEP.
На смену WEP пришел протокол WPA. Для управления ключом и шифрования в WPA применяются несколько алгоритмов, в их числе TKIP (Temporal Key Integrity Protocol) и AES (Advanced Encryption Standard). Для использования WPA необходимо, чтобы все клиенты были совместимы с этим протоколом (не говоря уже о маршрутизаторе). Впрочем, все современные точки доступа поддерживают WPA.
При шифровании данных, которые передаются между маршрутизатором и беспроводным клиентом, протоколы WPA и WEP используют специальный ключ (пароль). Завладев ключом, злоумышленник сможет не только установить соединение с беспроводной точкой доступа, но и расшифровать данные, передающиеся между клиентами беспроводной сети.
Если используется протокол WEP, то ключ приходится вводить вручную. Это существенный недостаток, поскольку пользователи вводят ключ всего лишь раз, а затем им его менять лень. Протокол WPA периодически сам меняет ключ, причем делает он это автоматически. Даже если злоумышленник каким-нибудь образом узнает ключ, то он будет действовать только до момента изменения ключа беспроводным маршрутизатором. Во многих точках доступа ключи меняются один раз в час.
Параметры шифрования маршрутизатора Edimax устанавливаются в разделе General Setup | Wireless | Security Settings (рис. 8.7). Кроме шифрования по протоколу WPA2 маршрутизатор использует и WPA-аутентификацию – при подключении к сети пользователь должен ввести пароль, указанный параметром Pre-shared Key.
Рис. 8.7. Установка шифрования WPA2
8.6. Фильтрация MAC-адресов
В качестве дополнительного барьера можно указать список MAC-адресов сетевых адаптеров компьютеров, которые смогут получить доступ к вашему маршрутизатору. Нужно отметить, что фильтрация MAC-адресов не обеспечивает надежной защиты. Опытный злоумышленник всегда сможет перехватить MAC-адреса и подменить свой адрес одним из разрешенных адресов. Зато фильтрация MAC-адресов эффективно срабатывает против дилетантов. Это как сигнализация в автомобиле – какая бы она ни была хорошая, опытный злоумышленник обойдет ее, а вот дилетанты и близко к машине не подойдут.
Примечание
Вы немного удивлены, что MAC-адрес можно перехватить и изменить? Перехват MAC-адресов сетевых адаптеров, работающих в беспроводной сети, возможен, если злоумышленник находится в радиусе действия сети. Поскольку пакеты передаются "по воздуху", перехватить их с помощью специальной программы (например, NetStumbler) – вообще не проблема. Что же касается изменения MAC-адреса, то это – довольно-таки тривиальная задача для квалифицированного пользователя, причем в любой операционной системе. Как изменять MAC-адрес, показывать я не буду, – книга посвящена защите, а не взлому беспроводной сети.
Рис. 8.8. Фильтрация по MAC-адресам
Добавить MAC-адреса в список разрешенных можно в разделе General Setup | Wireless | MAC Address Filtering (рис. 8.8). Как видите, пока не добавлено ни одного MAC-адреса. Для добавления адреса установите флажок Enable Wireless Access Control, затем введите MAC-адрес и нажмите кнопку Add. Добавив нужное количество адресов (всего их можно добавить 20), нажмите кнопку Apply, чтобы изменения вступили в силу.
8.7. Понижение мощности передачи
Некоторые маршрутизаторы дают возможность понизить мощность передачи, что позволяет снизить число как преднамеренных, так и случайных несанкционированных подключений к сети. Понизив мощность передачи, можно добиться того, что точка доступа будет доступна только в пределах вашей квартиры. Вообще-то, использование мощной направленной антенны, позволяющей обнаружить даже самый слабый сигнал, сведет на нет все ваши старания, но, во всяком случае, от случайных подключений к своей сети вы себя оградите.
После понижения мощности передачи запустите на компьютере программу мониторинга уровня сигнала (подойдет NetStumbler, http://www.netstumbler.com/) и исследуйте этот уровень в различных зонах вашего помещения. Если у граничных стен сигнал слабый, можно его еще понизить так, чтобы у границ вашей территории сигнала вообще не было. Однако после этого следует произвести повторное исследование уровня сигнала, чтобы убедиться, что беспроводная сеть есть там, где она должна быть.
Если у вас частный дом или отдельно стоящее офисное здание, выйдите из него и обойдите с ноутбуком здание вокруг – cигнала за его пределами быть не должно. Только так вы можете быть уверены, что никто случайно не подключится к вашей сети. Намеренное подключение с использованием направленных антенн, сигнал которых может проникать даже через стены вашего здания, исключать все же не стоит. Поэтому не нужно думать, что если вы понизили до минимума мощность передатчика маршрутизатора, то к вашей сети никто не сможет подключиться, и можно игнорировать остальные правила безопасности!
Параметр Tx Power (см. рис. 8.5) – это как раз и есть мощность передатчика. Уменьшите ее, затем (с помощью программы NetStumbler) убедитесь, что беспроводная сеть есть в вашем помещении – во всех необходимых местах (проверьте силу и качество сигнала по всему помещению). В идеале за пределами вашего помещения сила сигнала должна быть минимальной, но добиться этого получается далеко не всегда.
8.8. Отключайте беспроводный маршрутизатор, когда вы не работаете
Вы работаете ночью? Нет? Тогда выключайте маршрутизатор, когда не работаете. Можно настроить автоматическое выключение, а можно выключать все самому, – так вы на 100 % будете уверены, что никто не проникнет в вашу сеть. Заодно и сэкономите электроэнергию. К тому же отключение маршрутизатора имеет и третье преимущество (первое – безопасность, второе – экономия). Маршрутизаторы, особенно наружные и без громоотвода, желательно выключать во время грозы, иначе разряд молнии может вывести из строя само устройство и оборудование, к которому оно подключено (например, коммутатор). Днем вы сразу заметите грозу и успеете выключить устройство. А вот ночью отключить его может не получиться – дома вы будете спать и вряд ли о нем вспомните. Если же устройство установлено в офисе, то тем более – вы не поедете в грозу на работу, чтобы его выключить.
